Cướp ngân hàng thời công nghệ

Những kẻ hacker thường tấn công vào tối các thứ sáu. Chúng tấn công website của hàng chục ngân hàng cùng lúc. Theo công ty an ninh mạng Symantec, một cuộc tấn công thường diễn ra rất nhanh, trong vòng 2 giờ, 9 triệu USD đã bị rút ra từ các máy rút tiền tự động ở 46 thành phố.

Những phát hiện của Symantec cho thấy, các vụ tấn công này là một cách rẻ nhất và hiệu quả nhất để cướp ngân hàng. Cách thức và mức độ táo tợn của chúng cũng tương đương như một vụ cướp ngân hàng trên phố, khi những kẻ tội phạm giả vờ thu hút sự chú ý của nhóm bảo vệ ngân hàng vào một vụ lộn xộn nhỏ, để cho chúng đủ thời gian móc túi khách hàng.

Trong năm qua, hàng chục triệu USD đô la đã bị ăn cắp theo cách tấn công nghi binh này mà các ngân hàng không hề phát hiện ra, cho đến khi khách hàng khiếu nại hoặc các nhà điều tra sau đó khám phá ra sự thâm hụt.

Các cuộc tấn công nhằm vào ngân hàng thường được biết đến là loại tấn công từ chối dịch vụ phân tán (DdoS). Theo đó, hacker sẽ làm ngập hệ thống máy tính bằng các lệnh thông tin, khiến máy tính không thể xử lý được và ngừng hoạt động. Trong khi một số ngân hàng đã thừa nhận các vụ tấn công hủy hoại website của họ, nghiên cứu của Synmantec cho thấy hacker đã tấn công tới những lớp sâu hơn nơi mà các ngân hàng thừa nhận.

Theo Keynote System, nhiều website của các ngân hàng Mỹ đã bị đánh sập trong thời gian kỷ lục là 249 giờ trong khoảng 6 tuần của tháng 2 và tháng 3.

“Bọn trộm lợi dụng tâm lý rất phổ biến của mọi người. Đó là khi có đám cháy nhỏ trước cửa, mọi người sẽ chú ý và chạy dồn ra cửa trước để dập lửa mà không biết là kẻ trộm đã vào qua cửa sau”, Tom Kellermann, cựu chuyên gia an ninh của Ngân hàng Thế giới cho biết.

Ủy ban kiểm soát tiền tệ Mỹ trong một thông báo hồi tháng 12 cho biết, các vụ tấn công DDoS trước đây thường liên quan đến những thông điệp chính trị, nay đã trở thành một phương tiện phổ biến để cướp tiền từ tài khoản khách hàng.

Nghiên cứu của Synmantec tập trung vào các ngân hàng châu Âu. Tuy nhiên tên các ngân hàng bị tấn công không được công bố và số liệu về thiệt hại của các ngân hàng Mỹ và khách hàng của họ trong những cuộc tấn công tương tự cũng chưa được tiết lộ.

Duy nhất chỉ có Citigroup, một trong những ngân hàng lớn nhất nước Mỹ đã công bố công khai thiệt hại từ các vụ tấn công DdoS với các nhà đầu tư trong báo cáo năm nay, và mô tả chúng chỉ là “những thiệt hại nhất định trong một số trường hợp”.

Trong một cuộc tấn công kết hợp hồi đầu tháng 4, các hacker đã tạm thời vào tới được hệ thống ngân hàng online của ngân hàng ING (trụ sở tại Hà Lan), và iDEAL, một hệ thống thương mại điện tử của Hà Lan, có liên quan tới những ngân hàng lớn nhất của nước này. Những kẻ cướp này đã gửi đồng loạt email tới các khách hàng của ING để lừa họ cung cấp thông tin cá nhân.

Một nhóm tự gọi là Những chiến binh mạng Izz ad-Din al-Qassam đã nhận trách nhiệm về một loạt các vụ tấn công nhằm vào các ngân hàng Bank of Americe, JPMorgan Chase & Co (JPM), PNC Financial Services Group Inc (PNC). và nhiều ngân hàng khác. Thượng nghị sĩ Mỹ Joseph Lieberman cho rằng chính phủ Iran có thể đứng đằng sau những vụ tấn công này, nhằm trả đũa các biện pháp trừng phạt về kinh tế của Mỹ với Iran.

Các vụ tấn công kép này thường có vài dạng khác nhau. Dạng phổ biến nhất là các nhóm tấn công cài phần mềm độc hại vào bên trong hệ thống của một ngân hàng, đợi một nhóm khác tiến hành một cuộc tấn công DdoS vào hệ thống, các chuyên gia bảo mật tập trung xử lý vụ tấn công này. Ngay lúc đó, nhóm đầu tiên sẽ thâm nhập hệ thống, kích hoạt phần mềm và lấy tiền từ tài khoản khách hàng.

Cách tấn công này khiến người ta lẫn lộn giữa những hacker vì mục đích tiền bạc và mục đích chính trị. “Trong một số trường hợp, những kẻ tấn công tài khoản là những băng đảng cơ hội đi theo những nhóm hacker chính trị”, Avivah Litan, chuyên gia an ninh ngân hàng của hãng Gartner cho biết.

“Chúng tôi thấy có hiện tượng các nhóm khác nhau mượn, mua hay ăn cắp mật mã và chiến thuật của nhau. Những hacker kinh tế sử dụng mật mã, thủ thuật của hacker chính trị và ngược lại.

Hầu hết các ngân hàng lớn nhất ở Mỹ đều đã thừa nhận bị tấn công DdoS trong các báo cáo thường kỳ. Tuy nhiên, chưa ngân hàng nào ngoài Citigroup công bố con số thiệt hại thực tế và hầu hết đều tránh bình luận về chủ đề này.

Các ngân hàng cũng không công bố chi phí an ninh của họ, trừ JP Morgan. CEO James Dimon cho biết ngân hàng này đã chi 200 triệu USD/năm cho bảo mật và có hơn 600 nhân viên chuyên về bảo mật.

Mặc dù không thiếu các hãng bảo mật bán sản phẩm ngăn chặn tấn công mạng, nhưng chỉ mỗi công nghệ thì không đủ để bảo vệ các ngân hàng trước các cuộc tấn công kết hợp.

Theo Ủy ban kiểm soát tiền tệ (cơ quan quản lý các ngân hàng, thuộc Bộ Tài chính Mỹ), các ngân hàng cần phải đủ nhân sự để bao quát mọi hoạt động trong quá trình bị tấn công DdoS. Năng lực chống tấn công từ chối dịch vụ của ngân hàng phải mạnh hơn sự bảo vệ từ nhà cung cấp mạng lưới, bởi nhà cung cấp không thể ngăn chặn được các cuộc tấn công đặc biệt nhằm vào ngân hàng. Ngoài ra, các nhân viên tổng đài cũng cần được đào tạo để phát hiện các giao dịch đáng ngờ.

Còn nếu điều tồi tệ nhất vẫn xảy ra, khi những tên tội phạm đã vào được hệ thống. “Một nút “tắt” khẩn cấp để dừng mọi hoạt động chuyển tiền. Nút này có thể không bao giờ dùng đến, nhưng rất cần phải có, để phòng ngừa”.

(Theo cafeF/VnMedia/BusinessWeek)